W skrócie: ustawa obejmuje przede wszystkim średnie i duże podmioty z sektorów z załączników nr 1 i 2, a kilka rodzajów działalności (DNS, rejestracja domen, usługi zaufania, komunikacja elektroniczna, część podmiotów publicznych) niezależnie od wielkości. Wynik jest orientacyjny, nie zapisujemy wpisanych danych.
Co oznacza wynik
| Podmiot kluczowy | Podmiot ważny | Poza zakresem | |
|---|---|---|---|
| Wpis do wykazu | wniosek w aplikacji Wykaz KSC, nowe podmioty 6 miesięcy od spełnienia przesłanek; część podmiotów wpisywana z urzędu | tak samo | nie |
| SZBI i obowiązki z rozdziału 3 | do 3 kwietnia 2027 r. | do 3 kwietnia 2027 r. | nie, ale klienci objęci ustawą mogą wymagać zabezpieczeń w umowach |
| Zgłaszanie incydentów poważnych | 24 godziny, 72 godziny, miesiąc, przez S46 | tak samo; podmiot ważny publiczny bez wczesnego ostrzeżenia i sprawozdań | nie |
| Audyt | co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r. | tylko na polecenie organu | nie |
| Górna granica kary | 10 000 000 euro albo 2 % przychodów (wyższa kwota) | 7 000 000 euro albo 1,4 % przychodów (wyższa kwota) | - |
| Kierownik | odpowiada za obowiązki, co roku szkolenie, kara do 300 % miesięcznego wynagrodzenia | tak samo | - |
Kary można nakładać od 3 kwietnia 2028 r. (art. 35 ustawy zmieniającej). W podmiotach publicznych kara dla kierownika to do 100 % miesięcznego wynagrodzenia. Szczegóły i przepisy na stronach ustawa o KSC, SZBI i zgłaszanie incydentów.
Jak liczy kalkulator
- Wielkość według załącznika I do rozporządzenia 651/2014: mikro poniżej 10 pracowników i do 2 mln euro obrotu albo sumy bilansowej, małe poniżej 50 i do 10 mln euro, średnie poniżej 250 i do 50 mln euro obrotu albo 43 mln euro sumy bilansowej, większe to duże. Liczba pracowników jest warunkiem koniecznym, z kwot wystarczy, że jedna mieści się w limicie.
- Załącznik nr 1: duży podmiot jest kluczowy, średni ważny. Załącznik nr 2: średni i duży są ważni. Mikro i małe są poza zakresem, chyba że organ zidentyfikuje je decyzją.
- Niezależnie od wielkości: dostawcy usług DNS, rejestry TLD, firmy rejestrujące domeny i kwalifikowani dostawcy usług zaufania są kluczowi; mały przedsiębiorca komunikacji elektronicznej i mały dostawca usług zarządzanych w zakresie cyberbezpieczeństwa mają osobne zasady (art. 5 ust. 1 i 2).
- Podmiot krytyczny jest kluczowy bez względu na wielkość.
- Nie liczymy identyfikacji decyzją organu (art. 7l), państwowych osób prawnych (art. 7m), energetyki jądrowej ani podmiotów leczniczych niebędących przedsiębiorcami (art. 5 ust. 8). Te przypadki opisujemy na stronie kogo dotyczy NIS2.
Strona internetowa podmiotu
Ustawa wymaga monitorowania systemu w trybie ciągłym i środków ograniczających wpływ incydentów, w tym czasowego ograniczenia ruchu przychodzącego (art. 8). Przy stronie i usługach dostępnych z internetu chodzi zwykle o ochronę przed atakami DDoS, WAF i logi, z których da się przygotować sprawozdanie końcowe z incydentu.
Najczęstsze pytania
Czy wynik kalkulatora jest wiążący?
Jakie dane potrzebuję do kalkulatora?
Ile to jest 10 i 50 mln euro w złotych?
Co zrobić, gdy wynik to podmiot kluczowy albo ważny?
Źródła: art. 5, 7l, 7m i załączniki nr 1 i 2 ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu Dz.U. 2026 poz. 252; rozporządzenie Komisji (UE) nr 651/2014, załącznik I.
To nie jest porada prawna. Streszczamy przepisy własnymi słowami; wiążący jest tekst ustawy w Dzienniku Ustaw.